aaaddress1/skrullСоздает загрузчики вредоносного ПО, защищенные от копирования, с использованием Process Ghosting для обхода сканирования сигнатур AV/EDR и предотвращения автоматической отправки образцов. Поддерживает исполняемые файлы x64 PE.
Skrull — это DRM для вредоносного ПО, которое предотвращает автоматическую отправку образцов антивирусами/EDR и сканирование сигнатур на уровне ядра. Он генерирует загрузчики, способные запускать вредоносное ПО на жертве с использованием техники Process Ghosting. Кроме того, загрузчики полностью защищены от копирования и при отправке естественным образом становятся нерабочими.
Это proof-of-concept доклада на ROOTCON & HITCON 2021, ознакомьтесь с Skrull Like A King: From File Unlink to Persistence и Skrull Like A King：從重兵看守的天眼防線殺出重圍 :)
обратите внимание, что в данный момент поддерживается только x64 PE из-за техники ghosting.
